Richtlinie für Eigenprogrammierungen Freigegeben v1

Einleitung

Eigenprogrammierungen (= Eigenanwendungen) sind grundsätzlich zulässig. Für die Programmierung sind die nachfolgenden Vorgaben zu beachten.

Bei Anwendungsentwicklungen im größeren Umfang sollten Planung und Durchführung der Entwicklung im Rahmen eines Projekts unter Berücksichtigung der Vorgaben zum Vorgehensmodell aus dem Projektmanagement erfolgen und dabei unter anderem auch Auswirkungsanalysen vorgenommen werden.

Nach BAIT Tz. 7.8/7.9 können insbesondere folgende Vorkehrungen geeignet sein:

• Prüfung der Eingabedaten
• Systemzugangskontrollen
• Benutzerauthentifizierung
• Transaktionsautorisierung
• Protokollierung der Systemaktivitäten
• Prüfpfade (Audit Logs)
• Verfolgung von sicherheitsrelevanten Ereignissen
• Behandlung von Ausnahmen
• Überprüfung des Quellcodes

1.1. Anforderungs- und Entwicklungsprozess

Neue Eigenprogrammierungen werden grundsätzlich erst nach Erstellung eines fachlichen Konzeptes mit Bewertung realisiert. Für die Umsetzung und den gesamten Prozess wurde eine Datenbank („MB Eigenanwendungen") konzipiert, die durch einen fest definierten Workflow führt.

Die Beantragung erfolgt direkt durch den Fachbereich im Ticketsystem. Je nach Komplexität ist eine entsprechende Ausführungstiefe erforderlich, die bis zu einem detaillierten Fachkonzept reicht. Abnahmekriterien werden im Vorfeld festgehalten.

Kategorisierung eines Incidents

Reaktions- und Lösungszeiten

Alle Tickets werden in einem Jour fixe zwischen Entwicklung und Fachbereich priorisiert und einem der drei jährlichen Releases zugeordnet. Sobald das Ticket in der Testversion realisiert ist, führt der Entwickler einen Entwicklertest durch; die Dokumentation der technischen Umsetzung erfolgt in der Wiki. Sofern der einzelne Auftrag ein Volumen von 6 MT übersteigt, ist die Plausibilisierung der Codierung durch einen zweiten Entwickler im Rahmen eines Code Review durchzuführen und im Ticketsystem zu dokumentieren.

Der Fachbereich wird zum Abnahmetest aufgefordert. Eine Ausbringung in die Produktivumgebung wird bei fehlender oder nicht ausreichender Testdokumentation nicht durchgeführt. Nach Abnahme erfolgt die Zusammenfassung zu einem Release, welches in einem gesonderten ReleaseTest abgenommen wird.

Die Dokumentation besteht aus drei Teildokumenten in der Wiki:

• Anwenderdokumentation (Beschreibung der Nutzung der Anwendung für den Endanwender mit Bedienungshinweisen)
• Technische Systemdokumentation (Beschreibung der Codierung für den internen Gebrauch)
• Betriebsdokumentation (Beschreibung für IT zum Betrieb, Wartung und Neuinstallation)

1.2. Vorgaben zur Softwareentwicklung und zur Entwicklungsumgebung

• 1.2.1. Funktionstrennung zwischen Entwicklung und Produktion; klar definierte Entwicklungsumgebung.
• 1.2.2. Verwendung von Programmiersprachen – gemäß hausinterner Vorgaben.
• 1.2.3. Programmierrichtlinien – Benennungskonventionen, Kommentare, Modulstruktur, Code-Organisation.
• 1.2.4. Qualitätssicherung und technische Prüfroutinen.
• 1.2.5. Aufbewahrung von Quellcode und Artefakten.

1.3. Test-, Abnahme- und Freigabeverfahren

• 1.3.1. Abnahme von selbst entwickelter Software (Eigenanwendungen).
• 1.3.2. Ausbringung von freigegebenen Releases.
• 1.3.3. Fehlerbereinigung in freigegebenen Anwendungen (Incident-/Problemmanagement).

1.4. Management-Report Eigenprogrammierung

Die Entwicklung erstellt jeweils nach Ablauf des Quartals einen Management-Report, der die Geschäftsleitung über wichtige Themen per MIS informiert. Aufgeschlüsselt nach Anwendung wird auf folgende Punkte eingegangen:

• Zuständiger Programmierer
• Releaseeinsätze mit Inhalten
• Status über Weiterentwicklungen, Planungsgespräche, offene Anforderungen und weiteres Vorgehen
• Nennenswerte Probleme und Risiken

1.5. Umgang mit ausgelagerten Entwicklungen

1. Inhaltliche Grundanforderungen aus Pflichtenheft, Geschäftsprozess oder Projekt.
2. Agile Umsetzung in Vorgängen über das Backlog.
3. Erstellung von Anwender- und Betriebsdokumentation.
4. Breiteneinsatz nach Abnahme.

1.6. Sonstiges

1.6.1. Außerbetriebnahme von Eigenanwendungen

Für die Außerbetriebnahme ist ein spezifischer Vorgang im Forum ISM vorgesehen.

1.6.2. Logging

Anwendungen implementieren Logging zur Nachvollziehbarkeit und Fehlersuche (Informations-, Fehler- und Debug-Protokolle).